min opdragsgiver falder under NIS2 og jeg gør ikke, hvad betyder det for mig

Du rammes via kontrakten, ikke via loven

Du er selv ikke omfattet af NIS2, men det betyder ikke, at der ikke sker ændringer. Din kunde, der er omfattet af direktivet, skal selv under artikel 21, stk. 2, i direktiv (EU) 2022/2555 sikre sikkerhed i hele kæden. Det forpligter ham til at stille krav til sine leverandører — altså til dig. Ikke fordi du er en enhed i lovens forstand, men fordi din kunde skal kunne dokumentere sit eget ansvar, og du er en del af det.

I praksis mærker du dette som et spørgeskema eller som yderligere kontraktvilkår, ikke som en juridisk forpligtelse, der direkte påhviler dig. Spørgsmålene handler normalt om de samme ti foranstaltninger, som din kunde selv skal tage: risikopolitik, hændelseshåndtering, forretningskontinuitet, sårbarhhedsstyring, adgang og kryptering. Du kan derfor bruge den samme dokumentation, som du allerede har, selv hvis du aldrig skulle have udarbejdet den for dig selv. Hvis du ikke har disse dokumenter fuldstændigt endnu, anbefales det først at kontrollere, om der er politikker for risikovurdering og sikkerhed af informationssystemer og om sikkerhedskrav til egne leverandører disse allerede er dokumenteret — for disse to emner dukker op i næsten hvert enkelt ketvejledningsspørgeskema, uanset om du selv er en enhed.

Dokumenteret i artikel 21, iværksat via kontrakten

Forpligtelsen til leverandørkædesikkerhed fremgår af artikel 21, stk. 2, litra d, i direktiv (EU) 2022/2555: enheder skal træffe foranstaltninger til sikring af leverandørkædens sikkerhed, herunder forholdet til deres direkte leverandører. Den danske gennemførelse heraf følger gennem Cybersecurity Act, som træder i kraft den 15. august 2026. Så længe du selv ikke falder inden for denne lovs anvendelsesområde, forbliver iværksættelsen over for dig kontraktuel: din kunde bestemmer selv, hvordan han stiller sit krav til dig, og det kan variere fra kunde til kunde.